我啥都不说，自己看

消音器

http://softbbs.pconline.com.cn/10273556.html
$ `7 A  W9 v7 N! @4 N1 @9 a- o# Z

6 R* \4 T9 `2 j% n+ R, k绿X分析报告完整**版！为您解析绿X工作过程
. ^$ y( Y' t1 |( c6 R软件版本为3.17

9 f& E$ j. y1 J6 l   绿X采用打包式安装程序，安装程序的EXE文件被执行之后，会在temp目录下随机生成临时文件夹，释放安装文件。

# Y! a' @9 p3 A" z- Show quoted text -
然后调用该目录下setup.exe开始安装。
" j9 W) x- Q9 M! M" |9 U  U- u绿X安装在system32目录下，安装共写入包括windows、system32、inf、drivrs等系统关键目录在内的12个目录110个文件,文件列表如下：
,1,system32RunAfterSetup.exe,9,0,32
5 w5 p# V( E+ H. v& S# r* D( ~,2,system32sys.dat,9,0,32
5 C! F: o" Y2 M: i,3,system32poppo.dll,1,0,32
,4,system32sysEx.dat,1,0,32
,5,system32appface.dll,1,0,32
6 I# k& E) f# K8 ~3 t& k2 R. h+ d,6,system32xabout.dat,1,0,32
' \$ [/ H/ ]4 h, d: R  ],7,system32x100.dat,1,0,32
,8,system32x200.dat,1,0,32
,9,system32x300.dat,1,0,32
,10,system32x400.dat,1,0,32
,11,system32xnet2_lang.ini,9,0,32
,12,system32bnrfil.dat,1,0,32
0 i, G4 F6 P% t,13,system32bsnlst.dat,1,0,32
,14,system32csnews.dat,1,0,32
,15,system32gdwfil.dat,1,0,32
,16,system32TrustUrl.dat,1,0,32
" e: ^3 w/ q1 g: @3 K,17,system32wfileu.dat,1,0,32
) [+ Q: i1 u( s1 y,18,system32xwordh.dat,1,0,32
,19,system32xwordl.dat,1,0,32
,20,system32xwordm.dat,1,0,32
7 ^+ w6 \- H8 J,21,system32auctfil.dat,1,0,32
6 p$ @1 i. T  Y: c,22,system32chtfil.dat,1,0,32
- K  r" G8 V% Q6 Z+ h,23,system32cultfil.dat,1,0,32
  y/ D* |3 x) K0 R- F: B- `3 E,24,system32entfil.dat,1,0,32
1 M% R0 @. n* r& Y3 ]2 M/ T,25,system32finfil.dat,1,0,32
,26,system32fmfil.dat,1,0,32
# r7 s) p6 S- E! Q% |. T,27,system32fshrfil.dat,1,0,32
,28,system32gblfil.dat,1,0,32
& @) h& X" I/ G# j. ?1 p,29,system32gnfil.dat,1,0,32
  K( o5 O5 a; n! ^* X; D,30,system32hatfil.dat,1,0,32
,31,system32iawfil.dat,1,0,32
, Q  o, Z) g3 b# I,32,system32imgfil.dat,1,0,32
,33,system32jbfil.dat,1,0,32
! I1 S" g+ t7 g( D2 \3 v,34,system32lgwfil.dat,1,0,32
,35,system32movfil.dat,1,0,32
,36,system32mp3fil.dat,1,0,32
,37,system32nvgamfil.dat,1,0,32
,38,system32perfil.dat,1,0,32
,39,system32picsfil.dat,1,0,32
,40,system32pkmon.dat,1,0,32
,41,system32popfil.dat,1,0,32
,42,system32psyfil.dat,1,0,32
  j9 w4 `* e0 k* x0 j+ J,43,system32sporfil.dat,1,0,32
# m5 k% V  H; c( r2 m,44,system32swfil.dat,1,0,32
,45,system32tafil.dat,1,0,32
9 Y6 V# {* \. T& t,46,system32tapfil.dat,1,0,32
3 s. k+ \6 a5 x/ E+ }! p,47,system32vgamfil.dat,1,0,32
; h% r! q4 j: ~, k' i3 O,48,system32viofil.dat,1,0,32
,49,system32wrestfil.dat,1,0,32
,50,system32wzfil.dat,1,0,32
" K& }) g7 m: i1 P: }( f) M,51,system32adwfil.dat,1,0,32
,52,system321.urf,1,0,32
: t; v( [, {" J3 L6 c: s,53,system322.urf,1,0,32
* {6 q4 p* |' p,54,system323.urf,1,0,32
) `+ _1 j) |. Y1 k/ f( v% },55,system324.urf,1,0,32
,56,system325.urf,1,0,32
" [  F1 ]( U" g7 a,57,system326.urf,9,0,32
,58,system327.urf,9,0,32
,59,system32goldlock.exe,9,0,32
,60,system32filtport.dat,9,0,32
,61,system32x100.jpg,9,0,32
,62,system32x200.jpg,9,0,32
$ ~7 u$ `8 f8 l6 U. V6 u7 W,63,system32x300.jpg,9,0,32
% `9 m, O( B- V+ ^$ L,64,system32x400.jpg,9,0,32
,65,system32x500.jpg,9,0,32
,66,system32win2kspi.reg,9,0,32
1 o0 N. r! `; ]1 ^1 },67,system32winxpSpi.reg,9,0,32
- L$ O% L; Y4 k5 B7 d' o,68,system32Win98Spi.reg,9,0,32
1 z5 J; y; a& ~0 T2 f' b0 u,69,system32adwapp.dat,9,0,32
9 [9 x6 T7 c' \# {,70,system32XFimage.xml,9,0,32
,71,system32FImage.dll,9,0,32
5 a/ r+ @+ A! m,72,system32Xtool.dll,9,0,32
/ \& H" c' {9 u( u% M& q,73,system32Xcv.dll,9,0,32
,74,system32xcore.dll,9,0,32
9 d2 }) y5 \3 {5 D- x5 ^  n,75,system32x600.jpg,9,0,32
,76,system32wfile.dat,9,0,32
9 V; F% Z9 {+ _/ Y,77,system32winvista.reg,9,0,32
,78,system32IPGate.dll,9,0,32
,79,system32gn.exe,29,0,32
,80,system32looklog.exe,29,0,32
,81,system32lookpic.exe,29,0,32
,82,system32xconfigs.dat,29,0,32
,83,system32XNet2.exe,29,0,32
( H  k- c6 |' `2 y& v,84,system32XDaemon.exe,29,0,32
* G. {8 F- Z% w' h" N,85,system32kwdata.exe,29,0,32
7 ?  ^. M$ d5 c" [( b5 p7 r0 f# Q,86,system32Update.exe,29,0,32
,87,windowslogdesktop.ini,1,0,32
,87,windowssnapdesktop.ini,1,0,32
,88,windowshelpkw.chm,17,0,32
& {% F# a7 o8 U5 D, u5 M# t( n' N9 N9 y,89,windowsHNCLIB**Word.lib,29,0,32
! W# \2 W+ P. D( e,90,windowsimage.dat,9,0,32
,91,windowsimage1.dat,1,0,32
,92,windowsCardLib.dll,9,0,32
' Y% B2 o3 m0 K8 X,93,windowscximage.dll,9,0,32
! @3 V, p# K% L/ K,94,windowsdbfilter.dll,9,0,32
,95,windowsSurfgd.dll,29,0,32
,96,windowsdbServ.dll,29,0,32
: s: ?* ?6 f8 w  D,97,windowsCImage.dll,29,0,32
,98,windowsHandler.dll,29,0,32
,99,windowsHASrv.dll,29,0,32
,100,windowsHncEng.exe,29,0,32
" t4 u7 d' ]; v3 t3 J! R,101,windowsHncEngPS.dll,29,0,32
9 c2 j; t$ L+ N2 f. E,102,windowsInjLib32.dll,29,0,32
1 B7 ~) S  r: L3 I5 G. o0 Z. v,103,windowsMPSvcDll.dll,29,0,32
2 C2 _- g# l/ L) _) y,104,windowsMPSvcPS.dll,29,0,32
,105,windowsSentenceObj.dll,29,0,32
,106,windowsMPSvcC.exe,29,0,32
" e& q& L; o& m& |& P# Z,107,windowsvnew.bmp,29,0,32
,108,windowsxstring.s2g,29,0,32
  C) e$ y7 F6 M! _8 Z6 J8 ?,109,windowskwselectinfopp.dll,5,0,32
,110,windowskwimage.dll,29,0,32

; x8 i8 E- n' x; c) o7 ^安装结束时在注册表 HKLMSOFTWAREMicrosoft 下写入 xnet2键值。并运行 system32xnet2.exe 由该程序负责自启动项和服务等的添加工作。

接下来我们再看看绿坝都做了什么。
1 H1 z3 C3 q" A  k$ H
4 X( s7 F" W; W安装绿X之后将会有四个进程和一个驱动被调入内存。
! Z! d$ J1 s" f5 }system32XDaemon.exe守护进程，与Xnet2.exe实现交叉保护
5 q' i3 u' G" Y2 x  t# Y0 D1 L9 l
, b9 ]" c$ p1 t7 esystem32XNet2.exe绿坝的主程序，运行后将会启用两个线程分别监听udp 1234和1204端口：

windowsHncEng.exe
/ ^* W5 ]5 Z1 C* K) Y服务进程
windowsMPSvcC.exe
4 L; ^: V; O& g2 l: s( Z
- H2 t& g3 p3 w* G( y& I- c看着很像微点，但是这是假象，其实它也是绿X的服务进程。
5 u4 K, a" u: }- K1 h# d: p
Driversmgtaki.sys
安装完成后被写入的驱动文件，目的不明。
软件卸载时也不会被移除。
0 V- L$ x' M, l. z

# e6 C% ~* {# M8 |
' K/ D  r4 l; t) i7 h绿X运行过程中会定时向
; h% S9 R0 z% V3 N* k7 C8 W

进行被过滤黑名单的更新。同时会另外启用两个xnet2.exe线程，与211.161.1.134 和 203.171.236.231进行通讯，后者ip为 河南郑州景安计算机网络 ，前者是北京  长宽的一个ip，具体来源不明。

大家都知道绿X在运行过程中会记录网站的访问和每隔三分钟对系统进行一次截屏，虽然官方信誓旦旦宣称不会泄露用户信息，但是很难保证在这些行为不明的监听和通讯中，不会把这些内容给发送出去。
( ]& C; X( U' v( W8 C- ?! m
更可疑的是，在xnet2.exe的语言文件xnet2_lang.ini中有这么一行
, I* M! |  k, o2 G+ \$ {
- Show quoted text -
5 d6 o  \5 ^, \7 }AOption0_1117=发现不良网站自动向金惠公司报告。
. g+ U4 \8 G0 g7 W" v' ^
而且从网上高手对其进行逆向工程，而得来的数据来看，该软件并不像它自己说宣称的那样，只是对web访问进行监控，其进行监控的软件包括却不仅仅限于以下几十种：
wow.exe
yahoomessenger.exe
% Y0 b. \. s8 R, O; G8 uwangwang.exe
start.exe
uc.exe
icq.exe
, |% l2 L6 f5 r6 s5 hskype.exe
5 i+ r( O) E6 |9 Peph.exe
2 t: L8 ]3 l$ y3 C; ^sgr.exe
qqgame.exe
qqchat.exe
6 G2 s* U$ K, `qq.exe
5 h6 [6 x! H) x+ o2 x: ^bitbomet.exe
, L: Y! ^; y6 |3 B0 Q- jeditplus.exe
: T. n/ L& l+ a5 muedit32.exe
9 ~- m* H# I. c0 n  Jemeditor.exe
wordpad.exe
notepad.exe
1 W1 P4 n& X; |$ d2 x9 ywps.exe
wpp.exe
et.exe
; d8 f. q( E$ c' ^8 F  mpowerpnt.exe
frontpg.exe
, ^  ?4 |: M6 Texcel.exe
, B* f4 m# O! e  Y1 qmsaccess.exe
outlook.exe
winword.exe
6 W6 d! H! m% ~2 E2 [) q8 Zmailmagic.exe
popo.exe
" l3 K' g( x' \4 O, _7 Lqqmail.exe
aixmail.exe
imapp.exe
incmail.exe
msimn.exe
. Z8 L0 j: _3 |dm2005.exe
7 A" d+ Z. C+ t: I# qfoxmail.exe
googletalk.exe
miranda32.exe
! |* l% f6 J3 F: Z, M" w8 G8 bimu.exe
ypager.exe
; E" w0 n0 z8 U  o1 g$ {tmshell.exe
. ]* o  n( y9 X8 ]start.exe
4 l' ~/ n& E# G" duc.exe
2 N5 _7 B- m3 X6 micqchatrobot.exe
qq.exe
1 L* h; C2 }1 q1 Hmsnmsgr.exe
gsfbwsr.exe
greenbrowser.exe
1 {" \' ~: G$ y$ @, [( F4 G! ytouchnet.exe
# ?- J/ X6 y1 ?+ ntheworld.exe
maxthon.exe
6 L: x! K4 ?4 q+ o: t8 Wttraveler.exe
6 H# f1 u! J: H& a: Lnetscp.exe
ge.exe
firefox.exe
opera.exe
netcaptor.exe
2 Q  L. l( U, ~3 ?) B  |myie.exe
iexplore.exe
) C% Z& S; |* u2 ^: V7 }mmc.exe
regedit.exe
taskmgr.exe
mpsvcc.exe
xdaemon.exe
' Q6 R6 \5 L1 s1 a, Z7 H8 U! ~xnet2.exe
(以上信息来自SoFuc.Com所进行的逆向)

    绿X还对ie浏览器进程注入dll，以至于被360当成恶意插件报毒。

    该软件在监控时将发起大量的全局钩子，也就是说，只要它想，我们所看的网页，和别人聊天的内容，下载的东西，网购的物品，信箱里的邮件，游戏的帐号，设置与编写的文档，做的ppt都可以被它轻易搞到手。又有谁可能保证，它没有在这样做呢？
$ J4 a& G" j8 {- Y; L0 G) M) H+ l
    除此之外，该软件还做了一些不能见光的手脚。它的端口配置文件filtport.dat定义了如下内容：
, H+ X# ^& ?: f" z5 o7 \0 Z# z
. V, z! H/ o2 M0 M' U    FreeGate/8567/tcp Urf/9666/tcp 这个文件的作用很明显，屏蔽常见的代理软件FreeGate。在未来的更新中它更是可以在其中加入3128 1080 8080之类的端口 来禁止我们使用代理服务器。具体目的不言而喻。

0 y4 f& H7 _0 b4 d: G( X
) U  _. U( v* r4 O5 d2 K4 `* D3 U    如此强悍的设计，那我们这套价值4000万的软件就真的如此物超所值了吗？
& ?: K$ N6 u! C8 q, h; f
    实际上并非如此。由于先天的技术缺陷和粗制滥造，使得软件存在许多脑残问题。譬如，绿X并不像它所宣称的那样，对全系列Windows都能够完美支持。在XP以下系统漏洞百出，尤其是IE版本低下时，更是充当了“摆设”的作用。

% H+ m$ S) J# h7 o    而在Vista下经常完美的被用户账户控制干掉，且十分不稳定。
7 I- j* u% A9 O* w" r( w5 r即使在状态最佳的XP下，也有让人跌破眼镜的表现。网站过滤功能，居然只能在IE下生效，即使是同属IE内核的遨游之流都能时常时它失效。用火狐，谷歌这类非IE内核浏览器时，更是一点反映都没有。绿X，色情网站和平共处，甚是和谐。

     那么作为一款过滤软件，自身保护能力应该很强吧？绿X的答案是不，这让我们再一次跌破另一副眼镜。它的四个进程除了以两个为一组，有交互保护(当其中一个被结束，另一个将会重新运行它)之外，其他可以说是一点防护都没有。就不要说用冰剑之类的工具，就连常见的文件粉碎机就可以将其置于死地。


+ _9 k) y: q+ \     更可笑的，它的程序员们还犯了一个更加低级的错误。绿X的管理密码，通过类似于MD5的加密之后，储存在WINDOWSsystem32kwpwf.dll文件中，搞笑的是该文件并没有收到任何程序的保护，单凭一记事本就可以大改其中内容。我们只要把知道密码的绿坝的WINDOWSsystem32kwpwf.dll文件中的内容复制到不知道密码的那个绿X的WINDOWSsystem32kwpwf.dll下，就相当于改变其密码了。也就是说，我们只要把WINDOWSsystem32kwpwf.dll的内容改为“D0970714757783E6CF17B26FB8E2298F”，那么绿X的管理密码就变回了默认的112233。

) r: _6 x9 t2 D9 c0 j! A
     这软件的设计者是猪啊，4000多万，都够开发一套小型的OS的成本了，确换来如此粗制滥造，设计低劣的软件的仅仅一年的使用权？合法招标？潜规则所花费的金额如果不占这笔巨款的一半都不会有人信。

    最后我们来试着通过绿X所提供的卸载途径卸载了它，看看这号称可以自由装卸，自由停用的软件是什么一副流氓嘴脸。

0 _  p& K" g& p6 ?' x
    绿X在正常安装之后开始菜单中并不会创建其卸载程序的快捷方式，甚至于添加删除程序中都没有相关内容。那卸载项藏在哪儿呢？答案在绿X的设置中。然而即使我们使用它所提供的卸载功能对其进行卸载之后，文章一开始所提到的110个文件还会有多一半存在于我们的系统中，纹丝不动。重启之后其监控程序甚至还会大摇大摆的出现在我们的进程当中，不过这次不再提供管理面板就是了。
1 \1 ?* Y) V1 c- F& C& m
8 E& t3 N: p  a1 z: ]    未经用户同意强制安装(强行预装)，通过其卸载程序无法将其完整移除这是判断流氓软件的两条准则，而这个绿坝完美得全部符合。它的存在真的是为了保护未成人收到色情网站的毒害吗？未必，监视大量应用程序，定时对系统进行截图，对代理软件进行**，然后将用户电脑中的各种资料秘密传往某处。

leehao

...内幕啊！！！且看绿坝怎样下得了台

sunssj

绿叉。。。白痴东西~

wd_hui

“监视大量应用程序，定时对系统进行截图，对代理软件进行**，然后将用户电脑中的各种资料秘密传往某处。”
, m: p( y. R$ a; U# l' A( D2 l) O可以说这个就凭现在天朝那些吃砸碎XXX家，XXX人员想实现还早呢。
: [, @2 A! L+ I5 ^绿X这个东西说白了就是某些人赚外快的工具......